PHPカンファレンス2016に遊びに行ってきました (せっかくなので資料をまとめました) - OTOBANK Engineering Blog
こんちは！ @riaf です！ 昨日は PHP カンファレンス でしたね！みなさん、餃子食べましたか！？！？ 僕はここのところあまりお手伝いできていなくて申し訳ない気持ち！ 今回はお昼過ぎからちょこっとだけ遊びに行った (w/ 息子) んですが、すごい規模のイベントになりましたね。 ううむ、やっぱりコミュニティ活動は魅力的だなあ。 子連れだったので、ほぼ発表を見ることができず、(僕が欲しくて) 資料を簡単にまとめてみました。 (そして、社内の人たちにも見てもらおう！という魂胆です) トラック1 トラック 2 トラック 3 トラック 4 トラック 5 トラック 6 トラック 7 PHP の今とこれから 2016 Composer プラグインを作ってみよう Chef と nginx で作る PHP アプリケーションの Reliable Blue Green Deployment php アプリ
サニタイズ/入力値検証/エスケープの考え方 - Qiita
サニタイズって言うと怖い人たちがやってくるから言わないようにしましょう。 サニタイズは入力値検証もエスケープもなにもかもを含んだ広い意味になってしまったので、うっかり言ってることが食い違うと大変です。 入力値検証は、PHPの外からPHPに入ってくる値を検証することです。 外というと主に$_REQUEST/$_GET/$_POST等のリクエストパラメータがイメージされますが、実際はそれ以外にも環境変数、コマンドライン引数、ファイルやデータベースからの読み込みなど、PHP以外からやってくる全てのものを指します。 入力値検証はセキュリティ対策ではない もう入力値検証はセキュリティ対策としてあてにしないようにしようという記事がありますが、「もう」以前に、そもそも入力値検証は根本的にセキュリティ対策ではありません。 入力値検証は、『入力値が要件として正しい値か否かをチェックする』機能であって、そこに
PHPにおけるシンボリックリンクを使ったデプロイの危険性について（「realpath_cache」和訳）
2016/10/31 PHPにおけるシンボリックリンクを使ったデプロイの危険性について（「realpath_cache」和訳） PHP サーバーサイド この文書は@julienPauliさんによる記事「realpath_cache」の日本語翻訳です。元々は@gilbiteさんがKLab社内向けに翻訳したものでしたが、日本語では見たことがない指摘を含んでおり今でも有用だと考えたため、@julienPauliさんの了解を取った上で@hnwが修正・追記して公開するものです。 はじめに PHP に realpath_cache_get(), realpath_cache_size() という関数があることをご存じでしょうか？ また、php.ini に realpath_cache から始まる設定項目があることは？ realpath cache は知っておきたい極めて重要な概念です。 特に、コードの
gzip圧縮されたデータの展開方法いろいろ - Qiita
はじめに PHPで以前、ローレベルなソケット通信処理をガリガリ書いていたときに、gzip圧縮されたストリームの扱いに大変苦しんだ覚えがあります。今になってようやく解決策を得たので、ここにまとめさせていただきます。 gzipだとかzlibだとか全然詳しくありません。憶測で書いてる部分も多いです。詳しい方、間違っているところを発見したら是非コメント欄にて指摘お願いします。 検証に協力して頂いた @nullkal さんと @_wata1221 さん、ありがとうございました！ずっと悩んでいたことがスッキリして嬉しい限りです！ gzipのおさらい deflate, gzip, zlib の違いって何？ 名称 説明
PHP7.0がでたので、いまどきの「普通」のPHPの話。 - Qiita
去年のアドベントカレンダーではMongoDBの話をしましたが、今年はPHPの話。 PHPの「現在位置」 PHPが5から7へのメジャーバージョンアップをついに果たしました。(6が欠番になった経緯などは割愛) そこで、いまだに5.2とか5.3あたり、またはそれ以前の印象で語ってる人も居そうなので、改めて「PHPの普通」を確認していきましょう。 そもそもあなたPHPの何を知っていると言うんですか 今年はPHP5.6でフルスクラッチの小物サービスをリリースしましたし、古いバージョン(具体的には言えない)のサービスの保守を今も慎ましやかに続けていたりしています。 それはさておき。 いつ PHP を書きましたか？バージョンは？ 各バージョンのリリース日は以下のとおり。 - 2012/03/01 Version 5.4.0 - 2013/06/20 Version 5.5.0 - 2014/08/28
却下されたPHP RFCを見てみる その1 - Qiita
その1 / その2 / その3 Declined RFC 最近のPHPでは、新機能はまずML等にアイデアを出してRFCを作成し、投票において有権者の2/3の賛同を得て初めて導入されるという流れになっています。 その関門を通り抜けたものだけが新機能としてデビューできるわけですが、中には当然却下されたものも存在します。 せっかくだから却下されたRFCを、新しい順に10件見てみます(2016/08/09時点)。 今後通りやすいRFCを提案する際の参考になるかもしれません。 その2に続くかどうかは不明。 New operator for context-dependent escaping 賛成0/反対27で却下。 <?* $str, 'html' ?> <?= htmlspecialchars($str, ENT_QUOTES | ENT_HTML5 | ENT_DISALLOWED | ENT
phpenvで複数PHPインストール - Qiita
$ mkdir ~/src $ cd ~/src $ git clone https://github.com/CHH/phpenv.git $ cd phpenv/bin $ ./phpenv-install.sh Installing phpenv in /home/vagrant/.phpenv remote: Counting objects: 2057, done. Receiving objects: 100% (2057/2057), 344.17 KiB | 556 KiB/s, done. remote: Total 2057 (delta 0), reused 0 (delta 0), pack-reused 2057 Resolving deltas: 100% (1272/1272), done. Success. export PATH="/home/vagran
ブラウザから手軽にチェックできる正規表現テストツールまとめ
正規表現は適切に使うと、プログラムの手間を削減できる強力なツールになります。 ただ、正規表現を使うと動作テストが面倒だったり、慣れないうちはどんなことが書いてあるのかわからないなんてこともあると思います。 そんな時に、便利な正規表現のためのテストツール＆可視化ツールの紹介です。 正規表現のテストツールなんて、どれも同じかと思いきや、結構それぞれ特徴ある機能があるものも多いので、メモがてらまとめてみました。 photo by Jeff Kubina 正規表現チェッカー 正規表現チェッカー PHP: preg_match() / JavaScript: match() PHPのpreg_matchとJavaScriptの matchの実行結果を返してくれる定番のテストツールです。 日本語のリファレンスやサンプルがあるので、メタ文字などを忘れてしまった時などにも便利。 以下のように、PHPとJa
CentOS の PHP は本当に安全か - Qiita
※ 括弧内の日付はいずれもリリース日。 結論 基本的には問題ない。 CentOS の公式 Wiki の FAQ には「CentOS は企業向けであり、最先端よりも安定性と長期的なサポートが優先される。主なパッケージのバージョンは製品のライフサイクル全体を通じて保持される。」「最新バージョンのパッケージがないのは欠陥ではなく特徴である。」2 （意訳） とあり、バージョンが古いままなのは意図的である。 また、「セキュリティパッチやバグ修正が出荷バージョンにバックポートされている。」「単にバージョン番号を見るだけでは、脆弱性があるとは言えない。」3 （意訳）とあり、脆弱性の対応も行われていることが分かる。 ただし、CentOS 5.x の php53 パッケージはメンテナンスされていないので直ちに使用を中止した方がよい。「サポート期限」を参照のこと。 バックポート PHP 本体のセキュリティサポ
スパマのスパムスクリプトを解析してみる : 難読化されたPHPスクリプトに挑む | POSTD
スパムを送るのに使われていたPHPスクリプトを見ていきましょう。こういった種類のスパムは世界中のサーバで走っており、あなたを困らせるスパマの熱意を見通せる力を得ることができるはずです。 スパマは、セキュリティ対策が施されていないWebサイトやアプリケーション内の既知の脆弱性を悪用してサーバに入り込み、大量のスパムを送ることができるスクリプトをインストールします。完全に信頼できる送信者であると確証するのは難しいという理由から、 全ての スパムを取り除くことは困難です。完全に強化されたサーバは、スイスチーズ、つまり後にいくつかのゼロデイ・エクスプロイトになりかねないのです。 評判がいいとは言えないソースからプラグインをインストールしたり、プラグインが最新状態に保たれていなかったりすることで、エクスプロイトが簡単に取り込まれてしまうということは、それなりに人気のあるWordPressのサイトを運
MySQL, postgreSQL, SQLiteへのSQLアクセスを5分でAPI化するPHPアプリケーションを作ってみた - Qiita
MySQL, postgreSQL, SQLiteへのSQLアクセスを5分でAPI化するPHPアプリケーションを作ってみたPHPMySQLPostgreSQLAPISQLite3 MySQL, postgreSQL, SQLiteへのSQLアクセスを簡単にAPI経由でできるようにするPHPアプリケーションを作ったので、公開してみました。 https://github.com/harasho2016/simple-API-Maker このアプリケーションをサーバーに設置して、設定ファイルにDBへのアクセス情報を設定すれば、SelectとかDeleteとかInsertとかUpdateとかそういうよくある操作であれば、特に何の設定もなくAPI経由で操作できるようになります。 たぶん似たようなものがあるかもしれないですが、とりあえず試しで作ってみました。使っていただけると幸いです。あと改良点とか似
PDOのサンプルで数値をバインドする際にintにキャストしている理由
先日PHPカンファレンス北海道2016にて「『例えば、PHPを避ける』以降PHPはどれだけ安全になったか」と題して基調講演を担当致しました。その際のスライドはこちら。 そうしたところ、以下のご指摘をいただきました。 @ockeghem スライド拝見しました。39番目のスライドですが、バインドのタイミングでintにキャストするのはちょっと例として良くない気がします。意図的にオーバーフローを起こすことで想定外のレコードの取得を許してしまいそうです。キャストしない方がまだ安全だと思うのですが。 SQLデータベースは、int型よりも大きな桁数を扱える場合があるので、intへのキャストを避けた方がよいという指摘は一般論としてはもっともなものだと考えます。PHPの場合、9223372036854775807を越える数字文字列をint型にキャストすると、9223372036854775807が返ります(
『例えば、PHPを避ける』以降PHPはどれだけ安全になったか
Web API開発をするなら、ドキュメントは自動生成にしておこう！（PHPerKaigi2021） 皆さんの開発現場はAPIドキュメントの自動生成化がお済みでしょうか？ このLTではCakePHP4にSwaggerを導入して、コードのアノテーションからドキュメントを自動生成するまでの流れをご紹介いたします。 ▼こんな方におすすめ ・これからWeb API開発を始める方 ・ドキュメント書くの面倒な方 ・実装とドキュメントの乖離に苦労したことがある方 昨年、社内で実施した勉強会のテーマの中で一番メンバーの反応が良かったのが「アノテーションからのドキュメント自動生成」でした。ドキュメント作成の手間を少しでも減らして、開発体験を向上させていきましょう！ （LTではCakePHPをサンプルコードとして紹介いたしますが、Laravelに導入する手順も別途資料をご用意させていただく予定です。） http
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フリーエンジニアのIT案件ならレバテックフリーランス
脆弱性は誰のせい? �PHP、MySQL、Joomla! の責任やいかに
PHP の GC の話
初心者むけhttpoxyとか脆弱性とかの話 at #PHPBLT 5
PHP 5分でわかる静的解析入門 by 黒點 さん - niconare
GitHub - virtphp/virtphp: virtPHP is a tool to create isolated PHP environments.
GitHub - 80vul/phpcodz: Php Codz Hacking